必须结合安全组策略实现精细化管控：标准型NAT网关支持绑定安全组，控制SNAT出向和DNAT入向流量；传统型不支持；规则作用于NAT网关本身，需与CVM安全组协同，按源/目的IP和端口分级过滤。
服务器通过 NAT 网关出公网时，外网出口流量的管控不能只靠路由或基础 SNAT，必须结合安全组策略实现精细化控制。关键在于：NAT 网关本身不默认拦截流量，它只做地址转换；真正的访问控制由绑定的安全组承担——但仅限标准型 NAT 实例。
确认 NAT 类型与安全组支持前提
传统型 NAT 实例不支持安全组，必须使用标准型 NAT 网关。创建时需明确选择“标准型”，否则后续无法配置安全组规则。控制台中实例列表会标注类型，不支持的实例在“安全组”页签不可见或显示“暂不支持”。
安全组规则作用对象是 NAT 网关本身
这里容易误解：规则不是加在 CVM 上，而是加在 NAT 网关这个资源上。它控制两类流量：
- 入方向：从公网进入 NAT 网关的 DNAT 流量（如外网访问映射到内网服务器的服务）
- 出方向：CVM 经 NAT 网关发出的 SNAT 流量（即业务主动外联）
例如，若只允许服务器访问 HTTPS 和 DNS，出方向规则就应放行目标端口 443 和 53，其他全部拒绝；若禁止访问某恶意 IP 段，可直接在出方向添加拒绝规则。
配合 SNAT 规则实现按源/目的精细分流
当子网下有多台服务器，且不同业务需走不同公网 IP 出站时，先配置 SNAT 规则指定源 IP 段 + 公网 IP 映射，再在该 NAT 网关绑定的安全组中，对对应公网 IP 的出方向做独立控制。比如：
- 财务系统（192.168.10.0/24）→ 绑定公网 IP A → 安全组中仅开放 443、80
- 运维跳板机（192.168.20.0/24）→ 绑定公网 IP B → 安全组中额外开放 22、3389
这样既隔离了不同业务的出口路径，又避免了所有服务器共用一套宽松规则带来的风险。
注意与 CVM 安全组的协同关系
NAT 网关安全组管的是“出公网前的最后一道门”，而 CVM 自身安全组管的是“进 CVM 前的第一道门”。两者叠加生效，但顺序不可颠倒：
- CVM 发起外联：先过 CVM 安全组（检查出方向），再经子网路由到 NAT 网关，最后过 NAT 网关安全组
- 外网访问内网服务（DNAT）：先过 NAT 网关安全组（入方向），再转发到 CVM，最后过 CVM 安全组（入方向）
若某端口在 NAT 网关安全组被拒绝，即使 CVM 安全组放行，流量也无法到达 CVM。
